Dans le contexte actuel, le simple antivirus ne suffit plus. Et les mots de passe triviaux, à l’image de ceux utilisés par le musée du Louvre, ne devraient plus exister. Alors que le coût moyen d’une fuite de données se compte en millions d’euros, et que l’Europe fait progresser la réglementation en matière de cybersécurité, qu’attendons-nous pour mettre en place des dispositifs hautement sécurisés au sein de nos établissements publics ?

L’IA fait émerger de nouvelles formes d’attaques

En 2025, 86% des organisations déclarent avoir dû faire face à une perturbation opérationnelle touchant les ventes, les services ou la production suite à une cyberattaque. Et les établissements publics ne font pas exception à la règle : hameçonnage, ransomware et attaque par déni de service font partie des cyberattaques les plus répandues. Des techniques rendues accessibles à tous, cybercriminels experts comme amateurs, grâce à des intelligences artificielles malveillantes disponibles sur le darknet. Aujourd’hui, une violation sur six implique l’IA. Élaborées par cette dernière, les campagnes de phishing affichent des taux de clics 4,5 fois supérieurs aux attaques classiques et sont jusqu’à 50 fois plus rentables.

Outre les deepfakes audio/vidéo (trucages audio/vidéo hyperréalistes), l’IA a fait émerger un autre phénomène : le vishing (phishing vocal). Grâce à des outils de clonage vocal boostés à l’IA, les cybercriminels appellent leurs victimes en imitant la voix d’un membre de leur entourage professionnel ou personnel. Cette technique a augmenté de 442% en six mois. Enfin, l’IA permet également de créer des malwares polymorphes qui peuvent changer de forme à chaque exécution ou infection, déjouant les antivirus traditionnels.

Une addition à sept chiffres

Aucun secteur, privé comme public, n’est épargné par les menaces cyber. France Travail, Mango, Kering, la Fédération française de tir, Clarins et Asahi, victimes de cyberattaques ces derniers mois, soulignent la diversité des victimes.

En moyenne, les fuites de données entraînent un coût financier de 4,44 millions de dollars. L’entreprise Jaguar Land Rover en est un récent exemple : victime d’une cyberattaque au mois d'août, elle a été contrainte de mettre hors ligne ses systèmes informatiques pendant la résolution de l’intrusion, ce qui a paralysé la production de plusieurs de ses usines londoniennes. Le coût de l’incident pour l’économie britannique est estimé à 1,9 milliard de livres sterling. Un chiffre qui donne le vertige. En effet, outre le préjudice financier de Jaguar Land Rover, les trésoreries de milliers de fournisseurs travaillant avec la marque ont été impactées. Un cas d’école de l’effet domino d’une cyberattaque. Au sein des collectivités, les cyberattaques peuvent avoir un impact important sur les citoyens, paralysant les services publics (service d’eau potable, demande de carte d’identité, etc.) et subtilisant leurs données personnelles.

NIS2, CRA… Mieux vaut prévenir que subir

L’Union européenne travaille actuellement sur des réglementations ayant pour objectif d’uniformiser et de renforcer la sécurité des acteurs européens. Parmi elles, le CRA (Cyber Resilience Act) et la directive européenne NIS2, en cours de transposition en France, qui intègre la notion de sécurité physique, essentielle pour se protéger des intrusions physiques et des attaques hybrides, impactera fortement les collectivités territoriales. Parce que ces réglementations seront très prochainement applicables sur le territoire et en Europe, les entreprises et les administrations publiques doivent les anticiper dès maintenant.

En effet, adopter de nouvelles technologies et processus de sécurisation prend du temps et a un coût non négligeable : entre 100 et 200 000 euros pour les entités dites importantes, et entre 450 et 880 000 euros pour les entités dites essentielles, selon la Cour des comptes. Un investissement nécessaire lorsque l’on connaît le coût moyen d’une attaque : 466 000 euros pour une PME, 13 millions d’euros pour une ETI, et 165 millions d’euros pour une grande entreprise. Répartir ces investissements dans la durée permet de réduire la charge opérationnelle sur les équipes et de mieux absorber l'effort financier.

Certains acteurs, comme la région Ile-de-France, n’ont d’ailleurs pas attendu la transposition de la directive NIS2 pour commencer à évaluer la gestion des risques cyber de leurs fournisseurs. En adoptant cette mesure de prévention, la région limite les risques de fuite de données pouvant provenir de toutes les parties prenantes (clients, fournisseurs, collaborateurs, partenaires etc.). La conformité devient ainsi gage de confiance et véritable atout stratégique.

En anticipant et en se conformant aux réglementations européennes à venir, les organisations et les institutions se dotent d'une base solide de sécurisation de leurs infrastructures qui leur permettra de combattre plus facilement les menaces d’aujourd’hui mais aussi de demain, qu’elles proviennent de l’IA ou du quantique.